CN102724035A - 一种加密卡的加解密方法 - Google Patents

Abstract

本发明提供一种加密卡的加解密方法，所述加密卡包括加密芯片、DSP处理器、接口控制电路和一块P CI接口电路；所述DSP处理器、接口控制电路和加密芯片的数量相等且至少为两个，一块DSP处理器通过一块对应的接口控制电路控制连接一块加密芯片；所述至少两个的DSP处理器连接所述PCI接口电路,实现所述加密卡与所述加密卡所在计算机之间的数据传输。采用非抢占中断互斥机制，避免了基于中断优先级的中断抢占，减少了丢包现象，保证了数据包处理过程正确有序。

Description

一种加密卡的加解密方法

技术领域

本发明涉及电子信息安全领域，具体涉及一种加密卡的加解密方法。

背景技术

随着信息与网络技术的迅速发展和广泛应用，银行、石油、电力等支柱性行业的业务数据已经广泛采用各类计算机设备进行通讯，由于行业的重要性与特殊性，必须考虑数据的加密安全传输，所以，进行加密处理的服务器设备开发已经在行业内广泛进行，服务器设备可以把数据由明文变为加密的数据，再由网络设备将数据传输到目的地，在信息安全行业的主流加密服务器设备中，承担数据加密任务的主要是设备中集成的PCI接口加密卡，加密卡集成国家密码管理局授权的加密芯片，具有输入与输出单元，当加密卡的驱动程序将数据传输到输入单元时，加密卡处理这些数据，将其放入输出单元，送给加密卡的驱动程序，驱动程序再将加密后的数据送给需要加密服务的上层应用软件。

在集成了相同性能加解密芯片的加密卡中，设计控制多个加解密芯片同时工作的高效逻辑处理方法，以及设计调用加密卡的高效设备驱动程序，从而最大程度地利用加解密芯片的处理性能，从整体上提高加密卡的性价比就十分重要。

现有技术中加密卡是将数据包组织成适合加密芯片处理的格式，由驱动程序送入加密芯片控制电路，然后等待加密芯片处理后，将处理后的数据经控制电路再送至驱动程序，再由驱动程序送给上层调用的用户程序。公开号为CN1996321A的中国专利公开了一种加密卡的设计，该设计使用了2块DSP芯片与1块加密芯片进行交互处理。DSP之间、DSP与加密芯片之间的数据交换设计了额外的双口RAM做数据缓冲，在数据流程上，1块做主控的DSP运算结束，进行加密芯片的运算，运算完毕后再送入另1块DSP，最后由PCI-E接口送给用户。在加密芯片处理时一直等待，等待时间大大多于加密卡处理数据的速度，所以这种“占用-等待处理-放弃占用”的持续等待模式浪费了芯片部分处理性能。

发明内容

本发明提供的一种加密卡的加解密方法，所述加密卡包括加密芯片、DSP处理器、接口控制电路和一块P CI接口电路；

所述DSP处理器、接口控制电路和加密芯片的数量相等且至少为两个，一块DSP处理器通过一块对应的接口控制电路控制连接一块加密芯片；

所述至少两个的DSP处理器连接所述PCI接口电路,实现所述加密卡与所述加密卡所在计算机之间的数据传输；

所述加解密方法包括：

步骤S1，接收用户端包含数据包的调度指令，所述调度指令为写操作时，执行步骤S2的写线程过程；所述调度指令为读操作时，执行步骤S3的读线程过程；

步骤S2，写线程查找空闲加密芯片，将写操作的数据放入所述空闲加密芯片中，所述空闲加密芯片处理完所述用户端的数据包后，所述DSP处理器通过中断程序将所述数据包写入加解密队列，并对所述数据包做待读取标记；

步骤S3，读线程持续检查所述加解密队列，读取标记为待读取的数据包并送入用户端。

本发明提供的第一优选技术方案中：所述至少两个的DSP处理器相互之间中断互斥，同一时间只有一个中断在进行。

2、本发明提供的第二优选技术方案中：所述DSP处理器设置有有数据包要送出或无数据包要送出2个标志位，中断电路分析各个DSP处理器的所述标志位对有数据包要送出的DSP处理器进行中断处理；

当有两个或两个以上的DSP处理器同时有数据包要送出，随机选定一个DSP处理器发送数据包，所述没有选定的DSP处理器在对列中阻塞等待。

本发明提供的第三优选技术方案中：所述加解密队列设置有信号量，有100个存储位置，所述读线程或写线程独占所述信号量后对加解密队列进行读写操作。

本发明提供的第四优选技术方案中：所述DSP处理器、接口控制电路和加密芯片的数量均为4；

所述读线程和写线程为异步并行工作。

本发明提供的第五优选技术方案中：所述计算机的内存和DSP处理器在内部数据存储区中均设置有5个缓冲区，所述DSP处理器在内部数据存储区中设置的5个缓冲区为与对应的所述加密芯片的共享缓冲区，所述缓冲区的大小与送入加密芯片的最大数据包的大小相等。

本发明提供的第六优选技术方案中：所述步骤S2包括：

所述步骤S2包括：

步骤S201，写线程接收所述数据包后，查找是否有空闲加密芯片，是，执行步骤S202；否，返回，等待下次发送；

步骤S202，将所述数据包送入所述空闲加密芯片对应的DSP处理器中，查找所述对应的DSP处理器是否有空闲的所述共享缓冲区，是，执行步骤S203；否，返回，等待下次发送；

步骤S203，所述空闲加密芯片对所述数据包进行处理；

步骤S204，触发所述DSP处理器的中断程序，所述中断程序查找所述加解密队列中的空闲；

步骤S205，所述写线程占有加解密队列的信号量，将所述数据包写入加解密队列做待读取标记，等待读线程读取。

本发明提供的第七优选技术方案中：所述步骤203中所述空闲的加密芯片对所述数据包的处理过程包括：

所述DSP处理器对所述数据包做未处理标记，所述加密卡在空闲时按循环顺序查询5个所述共享缓冲区的状态，对有未处理标记的数据包进行处理，对处理完成后的数据包做已处理标记，并用所述已处理标记的数据包覆盖所述未处理标记的数据包。

本发明提供的第八优选技术方案中：所述步骤S3包括：

步骤S301，查找加解密队列中是否有标记为待读取的数据包，是，执行步骤S302，否，等待；

步骤S302，所述读线程占有加解密队列的信号量，读取所述标记为待读取的数据包并送入用户端。

本发明提供的一种加密卡的加解密方法的有益效果包括：

1、本发明提供的一种加密卡的加解密方法，加密和解密过程中的读线程和写线程分开异步并行操作，两个线程独立持续运行，驱动程序效率高，并且有效的利用了PCI加密卡板载加密芯片的加解密性能；

2、加解密芯片处理后的数据包组织成数据包队列，并保持数据包序号，供上层调用程序读取；

3、采取中断互斥机制。在调用4块加密芯片时，避免了基于中断优先级的中断抢占，消除了通常在中断频率高的情况下的丢失中断现象，杜绝了丢包现象，保证了数据包处理正确有序；

4、采取CPU互斥机制，避免了在多CPU服务器平台上运行时，由于多个CPU硬件中断控制器导致的可能的某一CPU抢占另一CPU中断的现象，杜绝了抢占带来的丢包；

5、采取原子读写机制，对加解密队列的操作有读和写两种，为加解密队列操作设置一个信号量，任何对队列的操作只有取得信号量之后才能进行操作，避免读写同时进行会带来的数据混乱；

6、并且加密芯片进行运算主要由板载相应的DSP处理器单独控制，DSP处理器完成了数据包送入、读出、仲裁工作，节省了计算机资源。

附图说明

图1为本发明提供的一种加密卡的实施例的结构示意图；

图2为本发明提供的DSP处理器与对应的加密芯片之间的关系结构图；

图3为本发明提供的一种加密卡的加解密方法流程图；

图4为本发明提供的读线程的实施例操作流程图；

图5为本发明提供的写线程的实施例操作流程图。

具体实施方式

下面结合附图对本发明做进一步说明。

如图1所示为本发明提供的一种加密卡的实施例的结构示意图，由图1可知，该加密卡包括加密芯片、DSP处理器、接口控制电路和一块PCI接口电路。DSP处理器、接口控制电路和加密芯片的数量相等但不受限制，至少为两个，一块DSP处理器单独控制一块加密芯片，并且对应的DSP处理器和加密芯片通过一块对应的接口控制电路连接通信，DSP处理器接收来自驱动程序的数据包，通过接口控制电路送入加密芯片处理。DSP处理器连接PCI接口电路，该PCI接口电路是实现加密卡与所在计算机之间数据传输的通道。

本发明图1给出的是DSP处理器、接口控制电路和加密芯片的数量为4的情况，DSP处理器在内部数据存储区中开辟5个与对应的加密芯片共享的缓冲区，DSP处理器与对应的加密芯片之间的关系结构如图2所示。

本发明提供的一种基于加密卡的加解密过程的实施例的步骤流程图如图3所示，由图3可知，该加解密过程包括：

步骤S1，接收用户端包含数据包的调度指令，该调度指令为写操作时，执行步骤S2的写线程过程；该调度指令为读操作时，执行步骤S3的读线程过程。

优选的，该读线程和写线程为异步并行工作，2个线程独立持续运行，效率高并且有效利用PCI加密卡的加密芯片的加解密性能。

步骤S2，写线程查找空闲加密芯片，将写操作的数据包放入该空闲加密芯片中，加密芯片处理完该数据包后，通过中断程序将数据包写入加解密队列，并对该数据包做待读取标记。

步骤S3，读线程持续检查该加解密队列，读取标记为待读取的数据包并送入用户端。

优选的，加解密队列设置有信号量，在对加解密队列进行读写操作之前，需要独占信号量才能进行操作，如果信号量被其他操作占用，则在队列中阻塞等待信号量被释放。

具体的，写线程接收来自用户的数据包的操作过程如图4所示，该写线程包括：

步骤S201，写线程接收来自用户端的数据包后，查找是否有空闲加密芯片，是，执行步骤S202；否，返回，等待下次发送。

步骤S202，将来自用户端的数据包送入空闲的加密芯片对应的DSP处理器，查找该DSP处理器与其对应的加密芯片是否有空闲的共享缓冲区，是，执行步骤S203；否，返回，等待下次发送。

DSP处理器内有64000字节的内部数据存储区，加密卡所在计算机的CPU可以通过PCI总线接口访问该内部数据存储区，在计算机的内存中开辟5个缓冲区空间，每个缓冲区大小等于送入加密芯片的最大数据包的大小，同时，也在DSP处理器内部数据存储区中开辟5个同样大小的缓冲区。

步骤S203，该空闲加密芯片对该数据包进行处理。

4块DSP处理器独立运行工作，每块DSP处理器单独控制一个加密芯片，接收来自驱动程序的数据包，送入加密芯片处理，处理完成后的数据包由加密芯片返回DSP处理器。

用户端传送过来的数据包放入5个缓冲区中的一个空闲缓冲区，DSP处理器会自动以直接访问内存的方式把数据从计算机的内存中缓冲区拷贝到内部数据存储区的缓冲区中来，并做未处理标记，当加密卡空闲时会按循环顺序查询5个缓冲区的状态，如果有未处理标记的数据包就对该数据包马上开始处理，处理完成后做已处理标记，并将已处理标记的数据包覆盖原来的未处理标记的数据包占用的缓冲区。DSP处理器将已处理数据包读出后给缓冲区做可写标记，据此，在数据包从驱动程序到达加密芯片处理的过程中，DSP与加密芯片共享的5个缓冲区的状态在未处理、已处理、可写3个状态之间转变。

步骤S204，触发DSP处理器的中断程序，中断程序查找加解密队列中的空闲。

优选的，各个DSP处理器采用中断互斥机制。

PCI板卡占用的1条中断线给4个DSP处理器共享，该电路分析各块DSP处理器的工作状况，给DSP处理器定义有数据包要送出和无数据包要送出2个标志位，如果有两个或两个以上的DSP处理器同时有要处理完成的数据包，则随机仲裁选定一个DSP处理器发送数据包，另外的在队列中阻塞等待，这样中断控制线上的中断信号串行，不会发生冲突。

在多处理器体系结构下，每个CPU各有一个中断控制器，在某一个中断正在发生的时候，有可能出现多处理器中另一个CPU的中断抢占正在进行的中断，造成丢包现象，所以如果当前有中断正在发生，发明中采取非抢占调度机制，关闭中断抢占，使得中断互斥，即同一时间只有一个中断正在进行，杜绝丢包现象。

步骤S205，占有加解密队列的信号量，将数据包写入加解密队列，并对该数据做待读取标记，等待读线程读取。

读线程读取数据包的操作过程如图5所示，该读线程包括：

步骤S301，查找加解密队列中是否有标记为待读取的数据包，是，执行步骤S302，否，等待。

步骤S302，占有加解密队列的信号量，读取该标记为待读取的数据包并送入用户端。

以上虽然根据附图对本发明的实例进行了详细说明，但不仅限于此具体实施方式，本领域的技术人员根据此具体技术方案进行的各种等同、变形处理，也在本发明的保护范围之内。

Claims (9)

1.一种加密卡的加解密方法，其特征在于，所述加密卡包括加密芯片、DSP处理器、接口控制电路和一块PCI接口电路；

所述DSP处理器、接口控制电路和加密芯片的数量相等且至少为两个，一块DSP处理器通过一块对应的接口控制电路控制连接一块加密芯片；

所述至少两个的DSP处理器连接所述PCI接口电路,实现所述加密卡与所述加密卡所在计算机之间的数据传输；

所述加解密方法包括：

步骤S1，接收用户端包含数据包的调度指令，所述调度指令为写操作时，执行步骤S2的写线程过程；所述调度指令为读操作时，执行步骤S3的读线程过程；

步骤S2，写线程查找空闲加密芯片，将写操作的数据放入所述空闲加密芯片中，所述空闲加密芯片处理完所述用户端的数据包后，所述DSP处理器通过中断程序将所述数据包写入加解密队列，并对所述数据包做待读取标记；

步骤S3，读线程持续检查所述加解密队列，读取标记为待读取的数据包并送入用户端。

2.如权利要求1所述的一种加密卡的加解密方法，其特征在于，所述至少两个的DSP处理器相互之间中断互斥，同一时间只有一个中断在进行。

3.如权利要求2所述的一种加密卡的加解密方法，其特征在于，所述DSP处理器设置有有数据包要送出或无数据包要送出2个标志位，中断电路分析各个DSP处理器的所述标志位对有数据包要送出的DSP处理器进行中断处理；

当有两个或两个以上的DSP处理器同时有数据包要送出，随机选定一个DSP处理器发送数据包，所述没有选定的DSP处理器在对列中阻塞等待。

4.如权利要求1所述的一种加密卡的加解密方法，其特征在于，所述加解密队列设置有信号量，有100个存储位置，所述读线程或写线程独占所述信号量后对加解密队列进行读写操作。

5.如权利要求1所述的一种加密卡的加解密方法，其特征在于，所述DSP处理器、接口控制电路和加密芯片的数量均为4；

所述读线程和写线程为异步并行工作。

6.如权利要求1所述的一种加密卡的加解密方法，其特征在于，所述计算机的内存和DSP处理器在内部数据存储区中均设置有5个缓冲区，所述DSP处理器在内部数据存储区中设置的5个缓冲区为与对应的所述加密芯片的共享缓冲区，所述缓冲区的大小与送入加密芯片的最大数据包的大小相等。

7.如权利要求6所述的一种加密卡的加解密方法，其特征在于，所述步骤S2包括：

步骤S201，写线程接收所述数据包后，查找是否有空闲加密芯片，是，执行步骤S202；否，返回，等待下次发送；

步骤S202，将所述数据包送入所述空闲加密芯片对应的DSP处理器中，查找所述对应的DSP处理器是否有空闲的所述共享缓冲区，是，执行步骤S203；否，返回，等待下次发送；

步骤S203，所述空闲加密芯片对所述数据包进行处理；

步骤S204，触发所述DSP处理器的中断程序，所述中断程序查找所述加解密队列中的空闲；

步骤S205，所述写线程占有加解密队列的信号量，将所述数据包写入加解密队列做待读取标记，等待读线程读取。

8.如权利要求7所述的一种加密卡的加解密方法，其特征在于，所述步骤203中所述空闲的加密芯片对所述数据包的处理过程包括：

所述DSP处理器对所述数据包做未处理标记，所述加密卡在空闲时按循环顺序查询5个所述共享缓冲区的状态，对有未处理标记的数据包进行处理，对处理完成后的数据包做已处理标记，并用所述已处理标记的数据包覆盖所述未处理标记的数据包。

9.如权利要求1所述的一种加密卡的加解密方法，其特征在于，所述步骤S3包括：

步骤S301，查找加解密队列中是否有标记为待读取的数据包，是，执行步骤S302，否，等待；

步骤S302，所述读线程占有加解密队列的信号量，读取所述标记为待读取的数据包并送入用户端。

Images